IBM DataPower Gateway: Denial of Service durch Heap-basierten Buffer Overflow
Zusammenfassung
IBM DataPower Gateway in den Versionen 10.5.0.0 bis 10.5.0.22, 10.6.0.0 bis 10.6.0.10, 10.6.1 bis 10.6.6 und 11.0.0.0 bis 11.0.0.2 enthält einen Heap-basierten Buffer Overflow (CWE-787). Ein entfernter Angreifer kann diesen ohne Authentifizierung ausnutzen, um das Gateway zum Absturz zu bringen und einen Denial of Service auszulösen. Da DataPower häufig am Rand von Integrations- und API-Verkehr eingesetzt wird, kann ein Absturz alle dahinterliegenden Dienste stören.
Betroffen
- IBM DataPower Gateway 10.5.0.0 bis 10.5.0.22
- IBM DataPower Gateway 10.6.0.0 bis 10.6.0.10
- IBM DataPower Gateway 10.6.1 bis 10.6.6 (10.6CD)
- IBM DataPower Gateway 11.0.0.0 bis 11.0.0.2
Behoben in
- Zweig 10.5.0: 10.5.0.23
- Zweig 10.6.0: 10.6.0.11
- Zweig 10.6CD: 11.0.0.3
- Zweig 11.0.0: 11.0.0.3
- Hinweis: Der IBM-Bulletin-Titel nennt 11.0.0.3, 10.6.0.11 und 10.5.0.23. Die Zuordnung pro Zweig stammt aus dem CVE-Eintrag und einem Aggregator und sollte vor dem Rollout auf der IBM-Bulletin-Seite bestätigt werden.
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Fragen Sie den IBM-Support an oder prüfen Sie das Bulletin auf Aktualisierungen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0.003 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Aktualisieren Sie so bald wie möglich auf die korrigierte Version für Ihren Zweig.
- Patchen Sie das gesamte IBM-Bulletin, das rund 20 weitere DataPower-CVEs abdeckt, von denen einige höher bewertet sind.
- Prüfen Sie, ob DataPower aus dem Internet erreichbar oder aus unvertrauenswürdigen Netzen zugänglich ist, und beschränken Sie den Zugriff, wo er nicht benötigt wird.
- Überwachen Sie die Verfügbarkeit des Gateways sowie die Logs auf Abstürze oder ungewöhnliche Anfragen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin (node 7289775) www.ibm.com
- IBM multi-CVE Security Bulletin www.ibm.com
- CVE record mirror (threatint) cve.threatint.com
- Rapid7 via Vulners vulners.com
- Fix mapping (aggregator) cve.imfht.com
- Exploitation and KEV status (Strix) www.strix.ai
- Red Packet exposure note www.redpacketsecurity.com
- SecurityOnline overview of DataPower vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:52.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.